複数のアクセス拒否設定をしたS3バケットをCloudFormationで作ってみた

nayu.t.s

2021.05.20

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

データアナリティクス事業本部の鈴木です。

バケットポリシーを使うと、S3バケットに、特定のIPやIAMからのみアクセス許可し、それ以外は拒否するような設定ができます。要件によっては同時に複数のアクセス拒否設定をする必要があると思います。このような場合に、CloudFormationのテンプレートをどう書けば良いか知りたかったので実験してみました。

試してみたアクセス制限

以下の３種類を試してみました。

IPからのアクセス制限
IAMからのアクセス制限
VPCエンドポイントからのアクセス制限

今回は特に「同時に制限をかけて、どれか一つでもOKだったらアクセスできる」ようにする方法に注目しました。

テンプレートを作成する

早速、テンプレートを作成してみます。バケットポリシーに複数のアクセス制限をつけるときのポイントは、ハイライトした34-45行目です。

AWSTemplateFormatVersion: 2010-09-09
Description: Access Restricted S3 Bucket

Parameters:
  S3BucketName:
    Description: Type of this BacketName.
    Type: String

Resources:
  SampleBucket:
    Type: 'AWS::S3::Bucket'
    Properties:
      BucketName: !Sub ${S3BucketName}
      PublicAccessBlockConfiguration:
        BlockPublicAcls: true
        BlockPublicPolicy: true
        IgnorePublicAcls: true
        RestrictPublicBuckets: true

  SampleBucketPolicy:
    Type: 'AWS::S3::BucketPolicy'
    Properties:
      Bucket: !Ref SampleBucket
      PolicyDocument:
        Version: 2012-10-17
        Statement:
          - Action:
            - 's3:*'
            Effect: Deny
            Sid: MultiRestrictPolicy
            Resource: 
              - !Sub 'arn:aws:s3:::${SampleBucket}'
              - !Sub 'arn:aws:s3:::${SampleBucket}/*'
            Principal: '*'
            Condition:
              StringNotLike:
                'aws:userId':
                  - "AROAxxxxxxxxxxxxxxxxx:*"
              NotIpAddress:
                'aws:SourceIp':
                  - 111.222.333.444/32
              StringNotEquals:
                'aws:SourceVpce':
                  - "vpce-1a2b3c4d"
                "aws:CalledVia":
                  - "cloudformation.amazonaws.com"          

Outputs:
  SampleBucket:
    Value: !Ref SampleBucket

アクセス拒否の条件は、Conditionブロックに記載します。Conditionブロック内のCondition要素はAND条件で評価されるので、以下の条件を共に満たす場合はアクセスを拒否するという意味になります（どれか一つでも満たしていればアクセスすることができます）。